Rocky Linux 8nodejs:16RLSA-2023:4537

high Nessus プラグイン ID 179469

Language:

概要

リモートの Rocky Linux ホストに、1 つ以上のセキュリティ更新がありません。

説明

リモートのRocky Linux 8ホストには、RLSA-2023:4537アドバイザリに記載されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

- Node v20.2.0 の http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。CR 文字 (LF なし) は、llhttp パーサーの HTTP ヘッダーフィールドを区切るのに十分です。RFC7230 セクション 3 によると、CRLF シーケンスだけが各ヘッダーフィールドを区切る必要があります。これは、次のすべての Node.js アクティブバージョンに影響します。v16、v18、v20 (CVE-2023-30589)

- ## 2023-06-20、バージョン 16.20.1 'Gallium'LTS、@RafaelGSS これはセキュリティリリースです。 ### 注目に値する変更このリリースでは、以下の CVE が修正されています * [CVE-2023-30581](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30581)「mainModule.__proto__」バイパスの実験的ポリシーメカニズム重要度高* [CVE-2023-30585](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30585)悪意のあることによる権限昇格Node.jsインストーラーの修正プロセス中のレジストリキー操作重要度中* [CVE-2023-30588https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30588x509証明書の無効な公開鍵情報によるプロセスの中断重要度中* [CVE-2023-30589https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30589HTTPリクエストのスマグリングCR で区切られた空のヘッダーを介します重要度中 * [CVE-2023-30590https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30590ディフィーヘルマンは秘密鍵の設定後にキーを生成しません重要度中* OpenSSL セキュリティリリース * [OpenSSL セキュリティアドバイザリ 3 月 28 日]https://www.openssl.org/news/secadv/20230328.txt。 * [OpenSSL セキュリティアドバイザリ 4 月 20 日]https://www.openssl.org/news/secadv/20230420.txt。 * [OpenSSLセキュリティアドバイザリ 5 月 30 日]https://www.openssl.org/news/secadv/20230530.txt* c-ares の脆弱性* [GHSA-9g78-jv2r-p7vc]https://github.com/c-ares/c-ares/security/advisories/GHSA-9g78-jv2r-p7vc]* [GHSA-8r8p-23f3-64c2]* [https://github.com/c-ares/c-ares/security/advisories/GHSA-8r8p-23f3-64c2GHSA- 54xr-f67r-4pc4]https://github.com/c-ares/c-ares/security/advisories/GHSA-54xr-f67r-4pc4* [GHSA-x6mf-cxr9-8q6v]https://github.com/c-ares/c-ares/security/advisories/GHSA-x6mf-cxr9-8q6v] 各脆弱性に関する詳細な情報は、[2023 年 6 月セキュリティリリース]https://nodejs.org/en/blog/vulnerability/june-2023-security-releases/のブログ投稿にあります。
(CVE-2023-30581、CVE-2023-30588、CVE-2023-30590)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。